Quand la gestion des risques liés à l’IA s’applique et que faire ensuite

La gestion des risques liés à l’IA s’applique lorsqu’un système, une fonctionnalité, une capacité fournisseur ou un processus interne peut avoir des conséquences significatives pour les personnes, les données, la sécurité, les clients ou l’entreprise. Un système n’a pas besoin d’être classé à haut risque au titre de l’AI Act pour mériter un examen structuré. La vie privée, la sécurité, la fiabilité, les contrats et le risque opérationnel peuvent justifier des contrôles indépendamment.

Pour une équipe SaaS, le test pratique est le suivant : l’usage peut-il modifier une décision, exposer des informations protégées, affecter une personne, produire un contenu destiné aux clients, automatiser une tâche importante ou créer un engagement que l’entreprise devra défendre ? Si oui, ou si la réponse est incertaine, recensez le cas, attribuez-en la responsabilité et réalisez une évaluation proportionnée avant adoption ou lancement.

Quand effectuer un examen

Incluez l’IA destinée aux clients, les modèles internes, les API, les fonctions intégrées de fournisseurs et les outils tiers utilisés par les salariés. Un examen est généralement justifié si des données personnelles ou confidentielles sont traitées ; si les résultats influencent un accès, une priorité ou une conséquence importante ; s’ils sont utilisés sans contrôle humain efficace ; si l’IA peut agir sur d’autres systèmes ; ou si la finalité, les données, le modèle, le fournisseur, le marché ou les utilisateurs changent.

L’examen peut rester léger pour un usage à faible impact. L’essentiel est de prendre et de conserver une décision de cadrage explicite.

Quand une obligation juridique précise s’applique

La gestion générale des risques et la conformité à l’AI Act sont liées sans être identiques. Les obligations dépendent du système, de sa finalité, du rôle de l’organisation, de la catégorie de risque et de la date d’application. Une entreprise SaaS peut être fournisseur pour une fonctionnalité et déployeur pour un outil interne.

L’article 9 impose aux fournisseurs de systèmes d’IA à haut risque d’établir, mettre en œuvre, documenter et maintenir un système de gestion des risques. Il s’agit d’un processus continu et itératif sur tout le cycle de vie : identifier les risques connus et raisonnablement prévisibles, les estimer en usage prévu et en mauvaise utilisation prévisible, intégrer le suivi après commercialisation, adopter des mesures ciblées et tester le système. Le calendrier ayant évolué, consultez la page officielle actuelle de la Commission européenne.

Cinq questions de triage

1. Quelle est la finalité réelle, qui utilise le système et qui est affecté ?
2. Quelles données entrent, quels résultats sortent et comment sont-ils conservés ?
3. Le résultat sert-il de brouillon, conseil, recommandation, priorité ou action automatique ?
4. Quels échecs sont possibles : erreur, biais, atteinte à la vie privée, abus de sécurité ou interruption ?
5. Quelles règles, contrats, promesses et politiques internes sont pertinents ?

Flux opérationnel

Créez une entrée d’inventaire stable indiquant responsable, finalité, modèle ou fournisseur, utilisateurs, personnes affectées, données, automatisation, marchés et prochaine revue. Une personne garde le dossier complet, même si produit, ingénierie, sécurité, protection des données et juridique prennent des décisions spécialisées.

Documentez le rôle, le contexte et les impacts. Le NIST AI RMF structure le travail en Govern, Map, Measure et Manage, la gouvernance couvrant tout le cycle de vie. Choisissez des évaluations adaptées : exactitude, modes de défaillance, vie privée et sécurité, impact, red teaming, accessibilité ou preuves fournisseur. Définissez si possible les seuils avant les tests et consignez les limites et incertitudes.

Les contrôles doivent découler des risques : minimisation des données, entrées interdites, configuration, accès, confirmation humaine, limites d’action, journaux, information, solutions de repli, suivi et escalade. Identifiez le propriétaire et la preuve de chaque contrôle, puis consignez l’approbation, l’approbation conditionnelle, la suspension ou le refus.

Réévaluez si la finalité, les utilisateurs, les données, le modèle, le fournisseur, l’automatisation, la zone géographique, le droit applicable ou le comportement observé changent.

Preuves et erreurs courantes

Conservez inventaire, finalité et rôle, évaluation, flux de données, dossier fournisseur, tests, limites, approbations, contrôles, supervision humaine, suivi, incidents et historique. Évitez de prendre une politique pour une preuve, de ne recenser que l’IA visible par les clients, de remplacer votre analyse par celle du fournisseur, d’appliquer le même processus à tous les risques ou d’oublier les déclencheurs de changement.

FAQ

Cela ne concerne-t-il que l’IA à haut risque ?

Non. L’article 9 crée une obligation spécifique pour les fournisseurs de systèmes à haut risque. D’autres systèmes peuvent nécessiter une gestion proportionnée au titre de la vie privée, de la sécurité, des contrats, des attentes clients ou d’engagements volontaires.

Que faut-il documenter en premier ?

La finalité, le responsable, les utilisateurs, les personnes affectées, les données, le modèle ou fournisseur, l’usage du résultat, la supervision humaine, le rôle, les risques, les contrôles, l’approbation et les déclencheurs de réévaluation.